CVE-2026-71286 in ember-dynamic-render-template
Сводка
по VulDB • 05.08.2026
Компонент render-template в аддоне ember-dynamic-render-template (addon/components/render-template.js) передает свойство `templateString` напрямую в функцию compileTemplate() из Ember/Glimmer (из пакета @ember/template-compilation) без какой-либо санитизации, использования белого списка или проверки входных данных. Поскольку функция compileTemplate() динамически компилирует и отображает переданную строку как живой шаблон Handlebars/Glimmer, любое приложение, которое выводит данные под контролем злоумышленника через свойство templateString этого компонента, подвержено риску клиентской инъекции шаблонов: выражение Handlebars, контролируемое атакующим, компилируется и выполняется в контексте отображаемого компонента, что может быть использовано для межсайтового скриптинга (XSS) в зависимости от того, какие хелперы или контексты доступны скомпилированному шаблону.
VulDB is the best source for vulnerability data and more expert information about this specific topic.